F5 BIG-IP APM 원격코드실행 취약점 실제 악용…긴급 핫픽스 배포

내 시스템이 대상인지 가리는 기준

공격은 BIG-IP APM이 OAuth 인가서버로 작동하고, 가상 서버에 APM 접근 정책과 OAuth 인가서버 프로파일이 함께 설정된 구성에서 악성 트래픽으로 성립한다. 가상 서버는 OAuth 트래픽을 받아들이는 BIG-IP의 주소다. OAuth 인가서버는 애플리케이션에 접근 토큰을 발급하는 역할을 맡는다.

인가서버 프로파일 없이 APM을 OAuth 클라이언트나 리소스 서버 용도로만 쓰는 배포는 영향을 받지 않는다. F5는 2026년 9월 23일 협정세계시 0시 45분 CVE 기록을 고쳐 결함이 인가서버 역할에서만 존재한다고 명시했고, 그보다 앞서 공개된 CISA 목록 항목과 CERT-EU 권고는 조건을 더 넓게 서술했다.

SecurityWeek는 영향 버전이 BIG-IP APM 21.1.0, 17.5.017.5.1, 17.1.017.1.3이며 다른 제품은 해당되지 않는다고 전했다. 어플라이언스 모드로 운영되는 시스템도 취약하다. 데이터 플레인에서 일어나는 문제여서 관리 인터페이스 접근을 제한하는 것만으로는 막히지 않는다.

지금 해야 할 조치

F5가 매긴 CVSS v3.1 점수는 9.8이다. The Hacker News는 CVSS v4.0 점수가 9.3이라고 보도했다.

핫픽스를 곧바로 설치할 수 없다면 F5 지원에 문의해 받은 설정 규칙을 영향받는 가상 서버에 적용하는 완화책이 제시됐다. CISA는 선제적 포렌식 분류를 위해 이 규칙을 먼저 적용한 뒤 최종 패치를 가능한 한 빨리 설치하라고 안내했고, CERT-EU는 포렌식 증거를 먼저 보존하고 핫픽스를 적용한 다음 침해 흔적을 점검하라고 권고했다.

침해 점검 지표로는 반복되는 OAuth 인증 실패와 의심스러운 명령 실행, 곧이어 발생하는 TMM SIGABRT의 조합이 제시됐다. 실패 요청은 단일 IP에서 10회 이상 반복되는지를 살펴보라는 세부 항목이 함께 나왔다. The Hacker News는 tmctl global_oauth_stat 명령에서 total_failed 값이 설명되지 않게 늘어나는 현상도 지표에 포함됐다고 전했다.

아직 공개되지 않은 부분

CISA가 제시한 사흘의 조치 기한은 구속력 있는 운영 지침 BOD 26-04에 근거한다. F5의 CVE 기록과 CISA 목록 항목은 공격받은 시스템 수, 공격 주체, 표적 조직을 밝히지 않았다. SecurityWeek는 F5가 이 취약점을 내부적으로 발견했다고 밝혔다고 전했다.

The Hacker News는 수정 빌드인 17.1.3과 17.5.1.3도 이번 영향 범위에 들어가, OAuth 인가서버로 구성됐다면 새 핫픽스가 필요하다고 보도했다. 기술지원 종료 버전은 F5 평가 대상에서 제외됐다. Shadowserver는 BIG-IP APM 특징이 확인되는 IP 주소를 1만4700개 넘게 추적하고 있으나, 그중 패치된 시스템이나 허니팟의 수는 공개되지 않았다.